Piramide di Heinrich: fantasia o realtà?

Per ogni problema complesso c’è sempre una soluzione semplice. E sbagliata
George Bernard Shaw

Uno tra i paradigmi del moderno approccio alla sicurezza sul lavoro è costituito dalla cosiddetta “Piramide di Heinrich”. In questa rappresentazione grafica, nata nell’ormai lontanissimo 1931, ed inclusa nell’opera “Industrial Accident Prevention”, più volte ripubblicata e rimaneggiata nel corso degli anni (fino alla quinta edizione del 1980), Herbert William Heinrich, passando al setaccio oltre 50.000 accadimenti incidentali presenti all’epoca nel database dell’istituto assicurativo “Traveler Company” per il quale lavorava, individuò una tendenza nel rapporto tra infortuni gravi, infortuni lievi ed incidenti.

Figura 1 – Prima edizione, datata 1931, del testo di Herbert William Heinrich

In particolare, a fronte di un infortunio maggiore, si evidenziavano 29 infortuni minori e ben 300 incidenti senza infortunio.
Ovviamente le aziende coinvolte in questo studio retrospettivo erano quelle tipiche presenti in USA, e cioè prevalentemente manifatturiere operanti nel periodo storico compreso tra il 1920 e la grande depressione del 1929 (è di quell’anno, infatti, il paper scritto da Heinrich nel quale appariva per la prima volta la serie, che diventerà famosa, 300-29-1).
Insomma, non proprio l’altro ieri, per capirci.
Sia quel che sia, l’elaborazione grafica che ne seguì fu la seguente e assunse, nel corso degli anni, soprattutto a partire dal 1966, uno status quasi “religioso” nella sua inscalfibile interpretazione ortodossa.

Figura 2 – Piramide di Heinrich, nella sua forma classica

Molti studi sono seguiti a quello di Heinrich; cito tra gli altri, a solo titolo esemplificativo, quello (relativamente) più recente, di Bird e Germain del 1985, nel quale si costruiva una “piramide” alternativa, con una categoria aggiuntiva e numeri di incidenza differenti.
Essa, elaborata principalmente da Bird, risulta basata sull’analisi di 1.753.498 incidenti registrati a tutto il 1961 dalla Insurance Company of North America (INA).

Figura 3 – Piramide di Bird (Fonte: Bird, Germain, 1985)

Perché è importante in ambito prevenzionistico questa forma di rappresentazione?
Perché, in genere, viene assunta una relazione tra gli atti non sicuri, posti alla base della piramide, e gli infortuni, anche più gravi, posti nelle posizioni più apicali.
Ed è corretta questa interpretazione? Probabilmente no, e cercherò di dimostrarlo, se avrete la pazienza di proseguire nella lettura.
Innanzi tutto partiamo da ciò che ci diceva Heinrich. Egli, purtroppo, cambiò posizione più volte nel corso delle varie edizione del suo manuale. Se nella prima edizione del 1931 la relazione di causalità tra le categorie risultava sostanzialmente inequivoca “the total of 330 accidents all have the same cause” (“il totale dei 330 incidenti hanno tutti la stessa causa”) la cosa veniva via via più sfumata nel corso delle edizioni successive della sua opera.
Sparisce l’affermazione sulla “stessa causa” e si introduce una giustificazione più articolata del rapporto 300-29-1: “From data now available concerning the frequency of potential-injury accidents, it is estimated that in a unit group of 330 accidents of the same kind and involving the same person, 300 result in no injuries, 29 in minor injuries and 1 in a major or lost-time injury” (“Dai dati attualmente disponibili riguardanti la frequenza di incidenti con potenzialità di causare infortuni, si stima che in un gruppo unitario di 330 incidenti dello stesso tipo e che coinvolgano la medesima persona, 300 non causano ferimento alcuno, 29 determinano ferite lievi e 1 produce un infortunio maggiore o una perdita di tempo dovuta ad infortunio”).
Quei 330 incidenti vengono quindi posti in capo ad un’unica persona che 10 volte su 11 non si fa nulla, 1 volta su undici si ferisce lievemente e 1 volta su 330 si fa male sul serio.
La conseguenza diretta di simili assunzioni sfocia poi nel presupporre che una lotta finalizzata alla riduzione del lato inferiore della piramide si tradurrà in miglioramenti anche nella parte alta.
Meno incidenti senza conseguenze = Meno incidenti con infortuni gravi.
Da questo all’istituzione di registri di annotazione dei “quasi infortuni” e dei “quasi incidenti” il passo è autenticamente breve. A volte drenando risorse aziendali che potrebbero essere altrimenti utilizzate con maggiore efficienza.

Figura 4 – Riduzione della frequenza degli infortuni gravi a partire dagli incidenti senza conseguenze?

Giunti a questo punto non possiamo più nasconderci dietro ad un dito: esistono almeno due seri problemi metodologici nella costruzione di queste serie di dati nonostante essi appaiano di semplice ed immediata interpretazione.
(Apparentemente) di semplice ed immediata interpretazione.
Sto discutendo in primo luogo dei problemi relativi alla definizione delle categorie e, in secondo luogo, alla relazione causale tra le stesse.
Nella piramide di Heinrich sono presenti eventi “infortunio” ed eventi “incidente”.
Il campo degli infortuni è certamente omogeneo, pur se distinto in eventi “minori” e “maggiori”. Il problema si evidenzia quando includiamo nella rappresentazione dei dati anche gli incidenti. Gli infortuni sono, infatti, “effetto” degli incidenti che, in questa eccezione, sono “cause”.
Peraltro nell’interpretazione data da Bird, si includono pure accadimenti che determinano danneggiamenti (economici) dell’attività. Questo problema, l’inclusione cioè di cause ed effetti nella medesima rappresentazione e comunque di categorie di rischio tra loro non omogenee non sfuggì apparentemente nemmeno ad Heinrich il quale, nel suo primo articolo di due anni antecedente la pubblicazione del suo storico manuale del 1931, dettagliò proprio di cause ed effetti degli incidenti.
Proviamo tuttavia a trascurare questa prima considerazione e spingiamoci oltre venendo alla seconda perplessità in tema di costruzione dei dati.
Chiediamoci: le categorie presenti nella piramide di Heinrich sono tra di loro causalmente correlate?
Detto in altri termini, esiste un filo d’Arianna, una relazione di causalità diretta che collega tra loro i 300 incidenti, i 29 infortuni non gravi e l’unico infortunio grave?
Mi sono persuaso che tale legame non esista, con l’eccezione di un numero selezionato e ristretto di scenari infortunistici.
Posso citare, a supporto della mia “opinione”, casi nei quali il rischio di evento infortunistico è rilevante (caduta d’alto, elettrocuzione, esplosione, accesso a spazi confinati); in queste situazioni NON esiste preavviso, purtroppo.
Alla categoria che NON manifesta un elevato numero di incidenti prima dell’evento infortunistico, appartengono anche buona parte delle aziende di processo nelle quali si confinano grandi energie (acciaierie e stabilimenti chimici su tutti). Se in un processo le energie sfuggono dalle barriere di confinamento ingegneristico (temperatura, pressione, energia cinetica, reazioni fuggitive, ecc) non esiste spesso preavviso.
Purtroppo i recenti casi italiani del Molino Cordero e di Umbria Oli sono lì a testimoniarlo. Come pure la sterminata reportistica nel settore dei grandi rischi (la quale, in Italia, spesso si traduce “solo” in perdite economiche ed impatti ambientali).
Per converso, se valutiamo situazioni manifatturiere nelle quali il rischio infortunistico risulta relativamente basso, perché, per esempio, non c’è necessità di contatto tra operatore e pezzo in lavorazione (es. meccanica di precisione), ci potrà essere una elevata quantità di piccoli infortuni di piccola e media entità che difficilmente sfoceranno nell’evento invalidante o mortale.
Insomma, nella valutazione della potenziale fatalità di un incidente non può essere trascurata la causa che lo ha determinato.
Posso avere una medesima lesione alla mano, una causata da un temperamatite, l’altra generata da una cesoia a ghigliottina. Nel primo caso una riduzione nella frequenza non avrà ripercussioni nell’ambito degli infortuni invalidanti, nel secondo caso probabilmente si.
A supporto del ragionamento che andiamo sviluppando servono però, oltre che l’esperienza personale e il ragionamento analitico/cartesiano, anche delle controprove empiriche che neghino la relazione causale tra le varie categorie presenti nella piramide di Heinrich.
Groeneweg (2006), per esempio, ha analizzato gli indicatori delle performance di sicurezza degli stabilimenti associati all’ “International Oil and Gas Producers Association” nell’intervallo di tempo 1997-2004, contabilizzando un totale di 12,3 miliardi di ore sottoposte a valutazione. Egli ha testato, in particolare, la correlazione tra compagnie per differenti livelli di gravità degli infortuni. Partendo dalle società con le più alte frequenze di incidenti fatali (FAR, Fatal Accident Rate), ha evidenziato quale fosse il tempo complessivamente perso per infortuni, indicizzandolo (LTIF, Lost Time Injury Frequency). Sono state altresì messe a confronto le frequenze di infortunio e i “Near Miss”. Sia nel primo come nel secondo caso non sono state trovate correlazioni statistiche tra i dati.
D’altra parte, l’Institute of Petroleum inglese (2005) ha analizzato le cause di circa 600 incidenti potenziali e 800 incidenti effettivi. L’analisi ha preso in considerazione 31 cause profonde che potrebbero essere alla radice di un incidente. Sorprendentemente si sono palesate sostanziali differenze nelle cause alla base degli incidenti potenziali rispetto a quelli realmente accaduti. Per esempio la classica perdita di tenuta da flangia, tipico scenario preso in causa nella classificazione di zone a rischio di esplosione, rappresenta la seconda più frequente causa di incidente potenziale ma solo la settima causa di incidente reale. In altri termini, una valutazione che si concentrasse sui fattori di rischio prioritari in scenari di incidente “potenziale” rischierebbe di dare valore a variabili che invece sono poco importanti nella genesi di incidenti “reali”.
Questa asimmetria nella valutazione “pre” e “post” incidentale rappresenta, peraltro, uno tra gli elementi più critici nella comunicazione tra gli analisti/valutatori di rischio, che si trovano ad operare PRIMA dell’evento, e gli organi preposti all’accertamento delle responsabilità, che invece arrivano DOPO che l’intera catena incidentale si è sviluppata. Spesse volte l’impressione è che, a valle dell’evento incidentale, la volontà non sia già quella di “scoprirne” la cause, quanto quella di “costruirle” per bene adattarle nel quadro legislativo vigente. Mi fermo qui, ma il discorso potrebbe essere molto lungo.
Un ultimo esempio, per me significativo, dell’assenza di correlazione tra le magnitudo di eventi nella piramide, proviene da fonti assicurative statunitensi le quali indicano, con estrema chiarezza, che gli sforzi volti a ridurre gli infortuni minori non si traducano, se non in minima parte, in riduzione dei grandi eventi infortunistici (Manuele, F. A., 2011). Potrebbe essere questo un ambito di ricerca molto interessante per l’INAIL, peraltro.
Che fare quindi?
Per prima cosa far evolvere, sia a livello formativo sia di competenze gli RSPP e gli specialisti di varia estrazione che operano nella H&S. È necessario, cioè, che lo studio e l’approfondimento delle dinamiche incidentali passi dalla visione semplificata e, forse, a volte ingenua data da Heinrich (=sequenziale lineare) a quella più sofisticata e complessa di tipo sequenziale ramificato, epidemiologico o sistemico.
In altre parole, è necessario comprendere profondamente che il fenomeno infortunistico è SEMPRE complesso e multicausale. Spesso accoppiato a fattori che si manifestano con modalità intermittenti. Piuttosto che covante al di sotto di barriere di sicurezza che, magari, non si ritengono tali ma che invece, nel momento in cui vengono eliminate, determinano la genesi di incidenti impensabili.
Continuiamo a studiare perché gli incidenti ACCADONO. Ma anche perché NON ACCADONO (Hollnagel, 2014).

Figura 5 – Le cose possono andare per il verso giusto. Oppure no (Hollnagel, 2014)

È insomma giunto il momento di lasciarci alle spalle le teorie di Heinrich dell’inizio dello scorso secolo, tra l’altro antecedenti alla seconda rivoluzione industriale (Kalpakjian, Schmid, 2014).
Sia il rapporto 300-29-1 e l’altrettanto “famigerato” 88-10-2 (=Le cause degli incidenti sono attribuite, da Heinrich, ad atti non sicuri di persone, condizioni di non sicurezza meccanica o fisica oppure situazioni inevitabili secondo il rapporto numerico appena indicato).
Le sue teorie fanno ormai parte della nobile storia della sicurezza industriale ma il vederle ancora diffusamente citate nell’ambito di articoli e di corsi di formazione specialistici colpisce.
Parecchio.

Riferimenti

• Bird, F. E., Germain, G. L. (1985). Practical loss control leadership. Det Norske Veritas (USA)
  
• Groeneweg, J. (2006). The future of behaviour management. In: Health and Safety Culture Management for the Oil and Gas Industry, Conference, Amsterdam, The Netherlands
  
• Hollnagel, E. (2014). Safety-I and safety–II: the past and future of safety management. Ashgate (UK)
  
• Institute of Petroleum (2005). A Framework for the Use of Key Performance Indicators of Major Hazards in Petroleum Refining, Energy Institute, London (UK)
  
• Kalpakjian, S., Schmid, S. (2013). Manufacturing, Engineering and Technology (7th Edition). Prentice Hall (USA)
  
• Manuele, F. A. (2011). Reviewing Heinrich: Dislodging two myths from the practice of safety. Professional Safety, 56(10), 52
  
• Webb, P. (2009). Process safety performance indicators: A contribution to the debate. Safety Science, 47(4), 502-507

(Post pubblicato originariamente su Postilla.it il 15/2/2016)

© Marzio Marigo